Server HTTP: tempo di risposta sulla richiesta di accesso

Sì, dovresti essere preoccupato per questo. È un possibile canale laterale e rivela informazioni sul tuo sistema. Alcune possibili difese (che vengono utilizzate) sono:

• Usa un ritardo minimo di attesa pseudo casuale. (ciò significa che una risposta valida o non valida richiederà circa lo stesso tempo)
• ha una risposta non valida esegue tutti i passaggi di calcolo di una risposta valida (solo con un valore di ritorno non valido). questo è un uso intensivo della CPU, ma spesso utilizzato per ignoranza. (gli ingegneri fanno in modo che tutto passi attraverso tutti i passaggi)
• Ritardo Incrementale (ogni tentativo raddoppia un fattore di ritardo), ad esempio l'iPhone lo usa.
• Utilizzare un servizio di autenticazione centrale che impiega qualche difesa contro questo. attraverso il traffico o altri mezzi.

Penso che Linux usi un ritardo crescente per gli accessi non validi. Ad esempio, se accedi con una password errata o , c'è qualcosa come un ritardo di 1 secondo al tuo primo tentativo, 2 secondi al tuo prossimo tentativo, 4 sul tuo terzo, ecc ... Questo sia nasconde il ritardo di calcolo che ti interessa oltre a rallentare le persone che cercano di estrarre il tuo processo di autenticazione per i dati.

La combinazione di questo ritardo con la chiamata a bcrypt anche per un nome utente errato dovrebbe fornire una discreta protezione contro gli attacchi temporali.

Di solito non è un problema che un utente malintenzionato sappia se il login esiste o meno, quindi se non sai se è importante per te allora molto probabilmente non lo è. Ma se vuoi ancora nascondere il fatto che l'accesso non esiste, ti suggerirei di aggiungere un po 'di ritardo. Probabilmente il modo migliore sarà di controllare effettivamente alcuni hash (e infine restituire 'false' in ogni caso) in modo che il tempo di attesa dipenda effettivamente dal carico della CPU del server web, dalla forza di bcrypt, ecc.